初始密码更改（调试必备）

刚安装完的 PlantPulse 每个安装实例都拥有完全相同的默认账户。这些值写在源码里，任何人都能查到。在移交给客户之前，务必全部更改。

本页面是需要更改的账户完整清单以及每个账户的更改路径，汇总成一份检查清单。运行期间的定期更换请参阅密码更改（凭据轮换）。

只要漏掉一个，那一个就是入口

以下账户使用不同的界面与不同的存储。如果只更改 Web 控制台密码，而保留控制中心原样，那么能够启停整个平台的界面就会一直敞开在默认密码之下。

需要更改的内容 — 完整清单

#	账户	默认值	在哪里更改
1	Web 控制台管理员	`admin` / `admin123!`	控制台界面 → 以下
2	控制中心(`:9700`)	`admin` / `admin123!`	环境变量 → 以下
3	PlantPulse Dashboard(`:3000`)	`admin` / `admin`	在 PlantPulse Dashboard 界面内 → 以下
4	Kestra(`:8380`)	`admin@plantpulse.io` / `Kopens123!`	环境变量 → 以下
5	基础设施服务（数据库·消息队列·存储等）	因安装而异	`passwd.sh` → 以下

1 至 4 是供人员登录的界面，因此在此说明。5 是服务之间使用的凭据，轮换流程是独立的。

1. Web 控制台管理员

首先更改。可在界面内完成。

使用 admin / admin123! 登录。
打开左侧菜单 System > 用户。
点击 admin 行的 🔑 钥匙图标（工具提示 "更改密码"）。
输入当前密码（admin123!）和新密码，然后保存。

本人账户需要当前密码

更改他人密码时只需 ADMIN 权限，但本人账户必须同时输入当前密码。详细规则与 REST API 用法，请参阅用户管理 — 密码更改。

2. 控制中心 (`:9700`)

这是一个独立的 Web 界面，能以 root 权限启停与控制整个平台。其账户与 Web 控制台完全不同，即使更改控制台密码，这里也保持不变。

由两个环境变量决定。如果设置了值，将使用该值代替默认值。

环境变量	用途
`PP_CONTROL_USER`	登录用户名
`PP_CONTROL_PASSWORD`	登录密码

若未设置，则所有安装都会使用相同的开发用默认账户登录。详细应用步骤请参阅凭据轮换 — 控制中心。

不要对外网开放 9700 端口

即使更改了密码，原则上也应通过防火墙阻止外部访问该端口，仅允许操作员网段访问 → 端口配置。

3. PlantPulse Dashboard (`:3000`)

时序可视化仪表板。默认账户是 PlantPulse Dashboard 内置默认值 admin / admin。

无法通过环境变量更改

🔴 不存在名为 PP_GRAFANA_ADMIN_USER · PP_GRAFANA_ADMIN_PASSWORD 的变量。 PlantPulse Dashboard 管理员账户存在于 PlantPulse Dashboard 自身的存储中，配置文件中的值仅在存储中不存在任何用户时才会被参考。一旦创建了用户，存储就会胜出，而且不会有任何错误提示告知这一情况。因此干脆不设置（2026-09-08 决定）。

更改位置有两处。

方法	适用时机
PlantPulse Dashboard 界面 → 个人资料 → 更改密码	平时
`dashboard-cli --homepath <dashboard> admin reset-admin-password --password-from-stdin`	无法登录时

必须一并设置的值 — `PP_GRAFANA_DB_PASSWORD`

自 2026-09-08 起，PlantPulse Dashboard 的存储是 PostgreSQL（仪表板·数据源·用户· 报警规则）。需要其连接信息。

环境变量	默认值
`PP_GRAFANA_DB_USER`	`grafana`（固定 — 模式以此名称创建角色）
🔑 `PP_GRAFANA_DB_PASSWORD`	无 — 启动必需

🔴 若为空，pd start 会以退出码 3 停止运行。 请在主机密钥伴生容器（/etc/kopens/plantpulse-platform.env）中记录，并通过 bin/restart.sh 重启。

4. Kestra (`:8380`)

工作流引擎。默认账户是 admin@plantpulse.io / Kopens123!。

环境变量	默认值
`PP_KESTRA_ADMIN_EMAIL`	`admin@plantpulse.io`
`PP_KESTRA_ADMIN_PASSWORD`	`Kopens123!`

已移除之前此处关于「更改后归档会停止」的警告

在 2026-09-04 之前，数据仓库通过 HTTP 连接到 Kestra，且启动脚本硬编码了该账户，因此一旦更改 Kestra 密码，S3 归档便会悄然停止。 现在这条路径已经不存在。归档与优化由 Temporal 工作节点执行（PP-S3-ARCHIVER-DAILY 每日 01:30 · PP-S3-OPTIMIZER-WEEKLY 周日 04:00）。数据仓库既不会读取，也不持有 Kestra 凭据。

⇒ 请放心更改 Kestra 密码。 对归档没有影响。

5. 基础设施账户与 API 密钥

数据库、消息队列、存储等服务之间使用的凭据。用户不直接登录，但若保持默认值，内网中的任何人都能访问数据。

bin/passwd.sh 是入口。仅能轮换已注册到注册表中的变量，若提供未注册的值，不会静默忽略，而是会拒绝。

cd /opt/kopens/plantpulse-platform-docker

bin/passwd.sh --list                 # 무엇을 바꿀 수 있는지 (현재값은 마스킹)
bin/passwd.sh --list --show          # 현재값을 그대로 보기
bin/passwd.sh PP_PG_PASSWORD         # 값은 프롬프트로 입력 (argv·셸 히스토리에 남지 않습니다)
bin/passwd.sh PP_PG_PASSWORD=... PP_S3_PASSWORD=...   # 여러 개를 한 번에 → 재시작 1회
bin/passwd.sh --dry-run PP_MQ_PASSWORD                   # 계획만 출력

在调试阶段，若要将所有已注册值随机轮换，可直接调用轮换引擎。--all 不是 passwd.sh 的选项，而是 rotate-secret.sh 的选项。

bin/rotate-secret.sh --dry-run --all --generate   # 계획 확인
bin/rotate-secret.sh --all --generate             # 실행

环境变量	对象
`PP_PG_PASSWORD`	PostgreSQL `plantpulse`
`PP_TEMPORAL_PASSWORD`	PostgreSQL `temporal`
`PP_HIVE_PASSWORD`	PostgreSQL `hive`
`PP_CASSANDRA_PASSWORD`	Aster TSDB
`PP_REDIS_PASSWORD`	Valkey (Redis)
`PP_S3_PASSWORD`	RustFS
`PP_MQ_PASSWORD`	Kafka · HiveMQ（两个服务共享一个值）
`PP_CEP_API_KEY`	CEP API
`PP_DATA_GATEWAY_API_KEY`	数据网关 API

不仅仅是这 9 个

PP_API_KEY · PP_FLOW_WEBHOOK_API_KEY · PP_SPARK_PASSWORD · PP_OPCUA_PASSWORD TLS 密钥库/信任库密码尚未在注册表中，脚本会拒绝。提供未注册的键时，不会静默忽略，而是以「注册表中不存在的变量」拒绝。全部请遵循凭据轮换 — 手动流程。

请遵循顺序

若更改了服务器端账户却未更新保管库，下次重启时平台将无法启动。 passwd.sh 会代为执行此顺序，但手动操作时，请先阅读为何顺序很重要。

更改后的确认

请直接确认各界面能否使用默认密码登录。最常见的问题是「以为已更改，但配置文件未被读取」。

检查项	方法
Web 控制台	注销后尝试以 `admin123!` 登录 → 应失败
PlantPulse Dashboard	在 `:3000` 处尝试以 `admin` / `admin` 登录 → 应失败
Kestra	在 `:8380` 处尝试以 `Kopens123!` 登录 → 应失败
S3 归档	若更改了 Kestra，请确认下一个计划任务执行成功

记录在移交文档中

请将已更改的账户清单以及谁保管新密码记录在移交文档中。请勿记录值本身。

需要更改的内容 — 完整清单​

1. Web 控制台管理员​

2. 控制中心 (:9700)​

3. PlantPulse Dashboard (:3000)​

必须一并设置的值 — PP_GRAFANA_DB_PASSWORD​

4. Kestra (:8380)​

5. 基础设施账户与 API 密钥​

更改后的确认​

相关文档​